Confidentialité des données : ce qu'une agence doit tenir

Une agence de sécurité détient un ensemble de données particulièrement sensible : les plannings de sites qu'elle protège, les dossiers de ses agents, les rapports d'incidents de ses clients. Perdre ces données est un problème ; les voir circuler en est un autre, plus grave, parce qu'elles décrivent des dispositifs de protection.

Commencez par un inventaire honnête. Une agence détient au minimum : les plannings — donc les heures où chaque site est tenu, et celles où il ne l'est pas —, les consignes de site avec accès, codes et particularités, les rapports d'incidents de ses clients, les dossiers du personnel avec pièces d'identité et parfois motifs de santé, et les données de facturation.

Le planning est la donnée la plus sous-estimée. Un planning de sites, réuni au même endroit avec les horaires, dit exactement quand chaque bâtiment est vulnérable. C'est un renseignement opérationnel, pas une information administrative.

Les consignes de site viennent juste après. Un document qui décrit les accès, les zones sensibles et les procédures d'entrée d'un site est précisément ce qu'un préparateur chercherait à obtenir.

Vous préférez voir plutôt que lire ? Nous vous montrons ShieldOne sur vos propres cas, en 30 minutes.

Les incidents commencent rarement par une attaque sophistiquée. Ils commencent par : un planning envoyé dans un groupe de messagerie, qui vit ensuite sur trente téléphones privés sans aucun contrôle ; un compte partagé dont le mot de passe circule depuis des années ; un agent parti dont l'accès n'a jamais été fermé ; un tableur de consignes déposé dans un espace de partage grand public.

Vient ensuite l'accès trop large : tout le monde voit tout, parce que c'est plus simple. Puis les documents papier — classeurs de consignes laissés sur site, plannings imprimés dans une poubelle.

Aucun de ces incidents n'a besoin d'un attaquant : ils se produisent d'eux-mêmes, dans des agences honnêtes, par facilité. C'est ce qui les rend probables.

Le cloisonnement consiste à donner à chacun accès à ce dont il a besoin, et pas plus. C'est la mesure la plus efficace, et la moins coûteuse : elle ne demande aucun équipement.

Dans ShieldOne, le rôle de manager est décomposé en attributs distincts : un responsable de planning n'a pas d'office accès aux données de rémunération, ni aux dossiers du personnel, ni aux motifs d'absence liés à la santé, qui vivent dans un espace séparé. Sur un congé de type santé, aucun motif n'est collecté du tout.

Un point mérite d'être dit franchement, parce que beaucoup d'éditeurs restent flous : les profils d'accès des agents déterminent ce que l'agent voit. C'est une organisation de l'affichage, ce n'est pas une garde opposée au serveur. Nous le disons ainsi et pas autrement : « vous contrôlez ce que chaque agent voit », jamais « ce à quoi il a accès ».

Ce qui est opposé au serveur, en revanche, l'est réellement : les périmètres sensibles — rémunération, dossier du personnel, santé, facturation — exigent un second facteur revalidé, et une lecture de pièce du dossier du personnel ne s'obtient pas sans laisser de trace.

Le second facteur protège l'ouverture de session, et — pour les périmètres sensibles — l'accès à la donnée elle-même. Il ne protège pas tout : nous n'écrivons jamais « accès impossible sans second facteur », parce que la couverture est partielle et qu'une promesse trop large se retourne.

Les comptes nominatifs sont la condition de toute traçabilité. Un compte partagé rend chaque trace inutilisable, et il survit à tous les départs. Il n'y a aucune bonne raison d'en avoir un.

Les départs sont le point faible universel. Écrivez une liste de contrôle de sortie : fermeture du compte, restitution des équipements, retrait des accès physiques, révocation des sessions actives. Et appliquez-la le jour même, pas « quand on aura le temps ».

Un mot sur les sessions : la fermeture d'un compte n'est pas instantanée sur tous les appareils déjà connectés — un jeton déjà émis peut vivre un temps limité. Là encore, mieux vaut le savoir que le supposer.

La question « où sont mes données ? » appelle une réponse en deux parties, et une réponse en une seule partie doit éveiller la méfiance.

Pour ShieldOne : les données principales sont hébergées exclusivement en Suisse, à Zurich. Certains services techniques — notifications, authentification, cartes, supervision — reposent sur des prestataires internationaux ; ils sont déclarés destinataire par destinataire dans l'annexe de sous-traitance, avec leur localisation.

Nous ne disons pas que rien ne sort du pays, parce que ce serait faux, et parce qu'une agence qui répète à son client une affirmation fausse se retrouve exposée à sa place. La formulation exacte vaut mieux qu'une formule rassurante : c'est elle qui tient devant une question précise.

Demandez la même précision à tout éditeur. Une réponse qui ne distingue pas les données principales des services tiers n'a pas été vérifiée.

Trois questions à poser avant de signer, jamais après. Puis-je exporter à tout moment ? Vos données restent les vôtres ; un export doit être possible sans négociation.

Que reçoit-on à la fin ? Un export doit inclure un inventaire de ce qui sort, et couvrir aussi les fichiers déposés, pas seulement les enregistrements. Un export qui rend une base sans les pièces jointes est un export incomplet qu'on découvre trop tard.

Que devient le reste ? La suppression doit couvrir l'ensemble, y compris le stockage de fichiers. Dans ShieldOne, la restitution précède la suppression, l'inventaire de ce qui sort est écrit dans le journal, et un accès coupé pour impayé ne bloque pas la restitution : c'est une promesse contractuelle, honorée indépendamment du litige.

Une dernière question, moins courante et très révélatrice : que fait votre éditeur de ses sauvegardes ? Une copie de sauvegarde survit parfois à la suppression de l'original. Un éditeur qui répond précisément sur ce point a examiné la question ; les autres ne l'ont pas fait.

Cloisonnement par attributs, second facteur sur les périmètres sensibles, journalisation des consultations et export à tout moment font partie de la construction du produit : les documents contractuels sont publiés et lisibles depuis le site de ShieldOne.